Problemen oplossen Aangepaste CA-lijst Certificaatvervalmeldingen op ESA

Inleiding

Dit document beschrijft aangepaste CA-certificaatvervalwaarschuwingen op een Secure Email Gateway (ESA) na een upgrade naar AsyncOS 14.x.

Overzicht

Het symptoom is een vervalwaarschuwing voor certificaten die tijdens de upgrade zijn toegevoegd aan de lijst van de aangepaste certificeringsinstantie (CA). De impact is beperkt tot informatieve waarschuwingen, omdat het vervallen van certificaten in de aangepaste lijst geen invloed heeft op certificaten in de systeemlijst. De oplossing is om de certificaatbron te controleren en het vereiste aangepaste CA-certificaat te vervangen of het verlopen certificaat uit de aangepaste lijst te verwijderen.

Gebruikte componenten

Dit document is gebaseerd op Cisco Secure Email Gateway met AsyncOS 14.0 of hoger.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Tijdens het upgradeproces naar AsyncOS 14.x wordt klanten gevraagd te bevestigen of ze oudere systeemcertificaten willen toevoegen aan de aangepaste CA-lijst. Dit gedrag is ook gedocumenteerd in de AsyncOS 14.0 release notes, zoals weergegeven in afbeelding 1. Zie de Release Notes van Cisco Secure Email Gateway voor AsyncOS 14.0.

Afbeelding 1. Release notes-fragment dat de upgradeprompt toont om oudere systeemcertificaten aan de aangepaste CA-lijst toe te voegen.

Probleem

Na een upgrade naar AsyncOS 14.x kunnen oudere systeemcertificaten die aan de aangepaste lijst zijn toegevoegd, na verloop van tijd verlopen en waarschuwingen zoals dit voorbeeld genereren.

26 Jun 2021 11:27:29 -0400 Uw certificaat CA: Root CA Generalitat Valenciana vervalt in 5 dagen (s).

Deze waarschuwingen zijn indicatief voor oudere systeemcertificaten die verlopen en die op het moment van de upgrade aan de aangepaste lijst zijn toegevoegd, of voor een aangepast certificaat dat eerder werd gebruikt en bijna is verlopen.

Oplossing

De waarschuwingen voor oudere systeemcertificaten in de aangepaste lijst zijn informatief en u kunt ervoor kiezen om ze uit de aangepaste lijst te verwijderen of ze te laten verlopen.

Deze voorwaarde heeft geen invloed op de service, maar de waarschuwing kan ongewenst zijn. 

Als u waarschuwingen ziet voor een aangepast CA-certificaat dat door uw organisatie is vereist en momenteel geen deel uitmaakt van de systeemlijst, neemt u contact op met de CA voor een bijgewerkt certificaat en vervangt u het certificaat zoals beschreven in de certificeringsbeheerprocedure voor de Cisco Secure Email Gateway Admin Guide.

De CA-certificaatbundel van het systeem wordt automatisch bijgewerkt na een upgrade en daarna periodiek. Het vervallen van certificaten in de aangepaste lijst heeft geen invloed op certificaten in de systeemlijst.

Als u wilt controleren of de systeemlijst en de aangepaste lijst beide zijn ingeschakeld, gaat u naar Netwerk > Certificaten > Certificaatautoriteiten > Instellingen bewerken.

U kunt ook het systeem en aangepaste lijsten exporteren vanuit hetzelfde menu, of de CLI-opdrachten certconfig en bepaalde autoriteit gebruiken om certificaten in beide lijsten te bekijken als dat nodig is.

Als u het certificaat wilt verwijderen dat waarschuwingen genereert in de aangepaste CA-lijst, voert u deze stappen uit als beheerder via SSH naar het toestel.

1. Voer certconfig uit.
2. Voer bepaalde autoriteit in en voer vervolgens aangepaste waarden in.
3. Voer delete in en selecteer het certificaat dat overeenkomt met de waarschuwing.
4. Bevestig de verwijdering en voer vervolgens commit uit om de wijziging op te slaan.

Dit CLI-voorbeeld toont de workflow.

Opmerking: Controleer de naam en positie van het certificaat in de aangepaste lijst op basis van de waarschuwing, omdat deze kan verschillen van de voorbeelduitvoer die in dit voorbeeld wordt weergegeven.

example.com> certconfig

Choose the operation you want to perform:
- CERTIFICATE - Import, Create a request, Edit or Remove Certificate Profiles
- CERTAUTHORITY - Manage System and Customized Authorities
- CRL - Manage Certificate Revocation Lists
[]> certauthority

Certificate Authority Summary
Custom List: Enabled
System List: Enabled

Choose the operation you want to perform:
- CUSTOM - Manage Custom Certificate Authorities
- SYSTEM - Manage System Certificate Authorities
[]> custom

Choose the operation you want to perform:
- DISABLE - Disable the custom certificate authorities list
- IMPORT - Import the list of custom certificate authorties
- EXPORT - Export the list of custom certificate authorties
- DELETE - Remove a certificate from the custom certificate authorty list
- PRINT - Print the list of custom certificate authorties
- CHECK_CA_FLAG - Check CA flag in uploaded custom CA certs
[]> delete

You must enter a value from 1 to 104.
...
59. [Root CA Generalitat Valenciana] <<< Select this certificate based on the sample alert in this example
...
93. [thawte Primary Root CA]

Select the custom CA certificate you want to delete
[]> 59

Are you sure you want to delete "Root CA Generalitat Valenciana"? [N]> Y
Custom CA certificate "Root CA Generalitat Valenciana" removed

Choose the operation you want to perform:
- DISABLE - Disable the custom certificate authorities list
- IMPORT - Import the list of custom certificate authorties
- EXPORT - Export the list of custom certificate authorties
- DELETE - Remove a certificate from the custom certificate authorty list
- PRINT - Print the list of custom certificate authorties
- CHECK_CA_FLAG - Check CA flag in uploaded custom CA certs
[]> [ENTER]

Certificate Authority Summary
Custom List: Enabled
System List: Enabled
Choose the operation you want to perform:
- CUSTOM - Manage Custom Certificate Authorities
- SYSTEM - Manage System Certificate Authorities
[]> [ENTER]

Choose the operation you want to perform:
- CERTIFICATE - Import, Create a request, Edit or Remove Certificate Profiles
- CERTAUTHORITY - Manage System and Customized Authorities
- CRL - Manage Certificate Revocation Lists
[]> [ENTER]

example.com> commit

Zorg ervoor dat je commit uitvoert aan het einde.

Gerelateerde informatie 

• Release-opmerkingen Cisco Secure Email Gateway
• Cisco Secure Email Gateway-gebruikershandleidingen

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	07-Jul-2026	Hercertificering.
1.0	29-Jun-2021	Eerste vrijgave